Derin Analiz - TiGeR-Firewall Brazilian Banking Trojan | Tehdit: YUKSEK
Файл Kimligi
| SHA256 | 39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13 |
|---|---|
| Размер | 95,232 byte (93 KB) PE32 GUI x86 .NET |
| Entropi | 5.57 (normal) |
| Section | 2 section (cok dusuk - tek segment) |
TiGeR-Firewall Markasi
BRAZILIAN BANKING TROJAN: TiGeR-Firewall - Brezilya kokenli bankacilik Trojan ailesi imzasi!
TiGeR-Firewall <- Brezilya bankacilik trojan ailesi marker'i\nLORDDecrypt <- ozel sifreli gizleme fonksiyonu (LORD=Brezilya gruplar)\nUmbrella.flv.exe <- .flv medya dosyasi olarak gizlenmis indirilen yukleyici
Gizleme ve Kacis Teknikleri
MD5CryptoServiceProvider + FromBase64String / ToBase64String\n -> LORDDecrypt fonksiyonu ile Base64+MD5 gizleme\n\nFirewall Manipulasyonu:\n netsh firewall add allowedprogram "..." <- kendini izin verilenler listesine ekle\n netsh firewall delete allowedprogram "..." <- temizleme (iz silme)\n HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\...\n -> Registry ile Windows Firewall durumu okuma/yazma
Yetenekler
avicap32.dll <- webcam erisimi (video yakalama modulu)\nAdobe Update <- sahte guncelleme maskesi (sosyal muhendislik)\nDownloadFile / DownloadData <- ikincil yukleyici indirme\nwinmm.dll <- multimedia API (ses yakalama)\nClipboardProxy <- pano izleme (kripto adres degistirme?)\nSendMessage <- belki diger proses ile iletisim veya UI kontrol
IOC
| SHA256 | 39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13 |
|---|---|
| Семейство | TiGeR-Firewall (Brezilya Banking Trojan) |
| Gizleme | LORDDecrypt (Base64+MD5) |
| Dropped | Umbrella.flv.exe (sahte FLV medya) |
| Yetenekler | Webcam (avicap32), Clipboard, Firewall bypass |
TiGeRFirewall — Профиль вредоносного ПО
Brezilya kokenli bankacilik Trojani. TiGeR-Firewall marker ile tanimlanan, LORD grubunun LORDDecrypt sifrelemesini kullanan .NET malware. Sahte Adobe Update maskesi, Umbrella.flv.exe dropper, netsh firewall manipulasyonu, avicap32.dll ile webcam, ClipboardProxy ile pano izleme yeteneklerine sahiptir.
Тип вредоносного ПО
Backdoor
Язык программирования
C#/.NET
C2 Протокол
custom
Целевые системы
Brezilya/Latin Amerika
Возможности и поведение
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Список IOC (1 индикаторов)
IOC — TiGeRFirewall
# SHA256
39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13
| Тип | Значение | Примечание |
|---|---|---|
| sha256 | 39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13 |